服务器端请求伪造——SSRF

Myth丶恋晨 2022-11-29 00:58 302阅读 0赞

### 目录 ###

*   *  SSRF简介
     *  SSRF漏洞发生场景
     *   *  1. 分享功能
         *  2. 转码服务
         *  3. 在线翻译
         *  4. 图片加载与下载
         *  5. 图片、文章收藏功能
         *  6. 未公开的api实现以及其他调用URL的功能
         *  7. 云服务厂商
         *  8. 网站采集，网站抓取的地方
         *  9. 数据库内置功能
         *  10. 邮件系统
         *  12. 从URL关键字中寻找
         *  13…………
     *  ssrf 防御
     *  ssrf 绕过
     *   *  1.利用@
         *  2.利用302重定向
         *  3.更改ip写法
         *  4.TCP数据流绕过
         *  5.使用非http协议
     *  参考资料

## SSRF简介 ##

SSRF(Server-Side Request Forgery:服务器端请求伪造)  
是由攻击者构造形成的由服务端发起请求的一个安全漏洞。

一般情况下，SSRF的攻击是目标网站的内部系统。（因为他是从内部系统访问，所有可以通过它攻击外网无法访问的内部系统，也就是把目标网站当做中间人）

通俗来讲，有两个网站：  
A网站，所有人都可以访问的外网网站  
B网站，只能内部访问的网站  
A网站能访问B网站  
所以，作为普通用户，我们可以访问A网站，然后篡改获取资源的来源，请求从B网站获取资源。A网站没有检测我的请求合不合法，以自己A网站的身份去访问B网站，于是我们就有机会攻击B网站。

## SSRF漏洞发生场景 ##

只要当前服务器有发送请求的地方都可能存在ssrf，如：

### 1. 分享功能 ###

在`早期`，Web应用的分享功能，会获取目标URL地址网页内容中标签或<meta name=“description”content=“”/>标签中content的文本内容，来为用户提供更好的体验。所以可以查看通过URL地址分享网页内容的地方是否有此漏洞

### 2. 转码服务 ###

通过URL地址把原地址的网页内容调优使其适合手机屏幕浏览

### 3. 在线翻译 ###

通过 URL地址翻译对应文本的内容。例如百度翻译  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center]

### 4. 图片加载与下载 ###

通过URL地址加载或下载图片，有的站长为了对图片进行加水印、打码等处理，会将图片下载到服务器上，就出现了SSRF漏洞  
还有富文本编辑器中的点击下载图片到本地功能

### 5. 图片、文章收藏功能 ###

这其实不算一个新的场景，图片收藏功能同`4`，文章收藏同`1`

### 6. 未公开的api实现以及其他调用URL的功能 ###

利用google 语法加上这些关键字去寻找SSRF漏洞

### 7. 云服务厂商 ###

一些厂商会远程执行一些命令来判断网站是否存活，如果可以捕获相应的信息，就可以测试是否存在ssrf漏洞

### 8. 网站采集，网站抓取的地方 ###

一些网站会针对用户输入的url进行信息采集工作

### 9. 数据库内置功能 ###

比如mongodb的copyDatabase函数

### 10. 邮件系统 ###

比如接收邮件服务器的地址

### 12. 从URL关键字中寻找 ###

share
    wap
    url
    link
    src
    source
    target
    u
    3g
    display
    sourceURl
    imageURL
    domain
    ……

### 13………… ###

## ssrf 防御 ##

1.禁止私有Ip访问  
2.限制远程连接的域名  
3.防火墙限制  
4.限制请求方式  
5.过滤协议使用https

## ssrf 绕过 ##

### 1.利用@ ###

url只解析@后面的域名 ,例如，在url栏里输入

https://www.qq.com@www.baidu.com

浏览器会跳到www.baidu.com界面，在这个过程中，火狐浏览器会提示你有风险  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 1]  
IE浏览器则报错，不能进入  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 2]360浏览器、谷歌浏览器则直接跳转到百度界面（所以一个好的浏览器是很重要的）

显然，服务器认为@前面的www.qq.com是账号，所以进入的是www.baidu.com站点

在php里，@是屏蔽错误信息，所以匹配到@前面的www.qq.com符合要求，就不匹配@后面内容。当然也可能是后端的正则表达式没表达正确

不只是@，`？`，`#`，`\`，`/`……都能绕过，用法和@差不多

### 2.利用302重定向 ###

通过dns解析绕过私有地址限制，探测内网  
有个很神奇的网站xip.io  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 3]  
当访问这个网站的子域名，例如127.0.0.1.xip.io，它会给你重定向到127.0.0.1

### 3.更改ip写法 ###

例如：127.0.0.1  
利用八进制绕过: `http://0177.0.0.1`  
利用十六进制绕过: `http://0x7f.0.0.1`  
利用十六进制整数格式绕过: `http://0x7f000001`  
利用十进制整数格式绕过: `http://2130706433`  
特殊的IP地址，如果中间两位是0，可以省略掉：  
如127.0.0.1还可以写成`http://127.1`

### 4.TCP数据流绕过 ###

对于常见的IP限制，后端服务器可能通过下图的流程进行IP过滤：

![2.png][]

对于用户请求的URL参数，首先服务器端会对其进行DNS解析，然后对于DNS服务器返回的IP地址进行判断，如果在黑名单中，就pass掉。

但是在整个过程中，第一次去请求DNS服务进行域名解析到第二次服务端去请求URL之间存在一个时间查，利用这个时间差，可以进行DNS 重绑定攻击。

要完成DNS重绑定攻击，我们需要一个域名，并且将这个域名的解析指定到我们自己的DNS Server，在我们的可控的DNS Server上编写解析服务，设置TTL时间为0。这样就可以进行攻击了，完整的攻击流程为：

(1)、服务器端获得URL参数，进行第一次DNS解析，获得了一个非内网的IP
    
    (2)、对于获得的IP进行判断，发现为非黑名单IP，则通过验证
    
    (3)、服务器端对于URL进行访问，由于DNS服务器设置的TTL为0，所以再次进行DNS解析，这一次DNS服务器返回的是内网地址。
    
    (4)、由于已经绕过验证，所以服务器端返回访问内网资源的结果。

### 5.使用非http协议 ###

http://   可以用来探测是否存在ssrf
    gopher:// 一个分布型的文件搜集获取网络协议，人称万能协议，没有默认端口，在WWW出现之前，Gopher 是Internet上最主要的检索工具，可以利用Gopher攻击Redis、攻击Fastcgi 
    dict://   字典服务器协议，查看端口，软件版本信息，操作内网redis服务等
    ftp://    只能探测是否存在ftp,不能进行暴力破解
    file://   本地文件传输协议，可以读取本地文件
    ldap://   轻量目录访问协议
    ssh://   一种加密的网络传输协议，在不安全的网络中为网络服务提供安全的传输环境
    telent://  可以匿名访问及爆破
    tftp:// UDP协议  发送UDP数据包
    php://  访问各个输入/输出流（I/O streams）
    …………

## 参考资料 ##

[http://www.52bug.cn/hkjs/3100.html][http_www.52bug.cn_hkjs_3100.html]  
[https://www.t00ls.net/articles-41070.html][https_www.t00ls.net_articles-41070.html]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221124/7ef7c4968db3468880d67f7979e7df9e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221124/7a7e99e3bdd64d28ba962cb74916a7fc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221124/0fb3d55527ba4ca389242909f0583d43.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221124/d4f07f51190e423fa342928136045dc2.png
[2.png]: /images/20221124/72d267dc658a49ed9a892b92e3c6783f.png
[http_www.52bug.cn_hkjs_3100.html]: http://www.52bug.cn/hkjs/3100.html
[https_www.t00ls.net_articles-41070.html]: https://www.t00ls.net/articles-41070.html